La protection des boîtes aux lettres cloud est devenue une priorité pour les organisations. Les attaques par usurpation et le phishing menacent la délivrabilité ainsi que la confiance client.
L’authentification numérique repose sur trois protocoles complémentaires et quelques normes associées. Les points essentiels suivent pour engager une mise en conformité rapide.
A retenir :
- Protection du domaine contre l’usurpation et le phishing
- Amélioration de la délivrabilité des e-mails commerciaux vers clients
- Visibilité des sources d’envoi via rapports DMARC agrégés
- Conformité aux exigences des principaux fournisseurs de messagerie
Après les points essentiels, pourquoi l’authentification numérique protège la délivrabilité et la sécurité e-mail
SPF expliqué et limites techniques
Le protocole SPF identifie les serveurs autorisés pour l’enveloppe MAIL FROM. Selon Microsoft, SPF utilise un enregistrement TXT DNS pour déclarer ces sources et signaler les échecs.
Protocole
Rôle principal
Limite
SPF
Déclare serveurs autorisés pour MAIL FROM
Échec après redirection ou relais serveur
DKIM
Signature cryptographique de l’en-tête et du contenu
Domaine signataire non toujours aligné avec From
DMARC
Politique d’action et rapports RUA
Échecs si services modifient le message en transit
ARC
Conservation des informations d’authentification par des services intermédiaires
Dépendance à la reconnaissance du scellant par le destinataire
DKIM et survie aux transferts
Le protocole DKIM signe numériquement des éléments du message pour garantir l’intégrité. Ainsi, DKIM permet souvent de valider un message qui échoue à SPF après un relais ou une redirection.
Selon Microsoft, DKIM stocke la signature dans l’en-tête et permet la vérification côté destinataire. Cette caractéristique en fait un pilier de la prévention spam email.
Points techniques essentiels :
- Inclure toutes les sources d’envoi connues dans l’enregistrement SPF
- Signer en 2048-bit pour DKIM quand c’est possible
- Surveiller les rapports DMARC RUA pendant plusieurs semaines
« J’ai perdu des ventes à cause d’e-mails envoyés en spam, la configuration DMARC a résolu le problème. »
Alice B.
De l’explication technique, venons-en au rôle de DMARC comme chef d’orchestre pour le filtrage e-mail
DMARC, alignement et rapports pour la prévention spam email
Le DMARC impose l’alignement entre les domaines MAIL FROM et From et spécifie l’action à appliquer. Selon Microsoft, DMARC centralise les décisions et oriente le destinataire vers quarantaine ou rejet.
Étape
Action
Impact attendu
Inventaire
Cartographier toutes les sources d’envoi
Visibilité des flux inconnus
p=none
Surveillance sans blocage
Collecte des rapports RUA
p=quarantine
Redirection vers dossier spam
Observation des effets avant blocage
p=reject
Rejet des messages non conformes
Protection maximale contre le spoofing
Selon Google, les exigences autour de SPF, DKIM et DMARC se renforcent pour tous les expéditeurs. Cette évolution rend la surveillance et l’automatisation indispensables pour la sécurité e-mail.
Bonnes pratiques DKIM :
- Activer DKIM pour chaque domaine d’envoi actif
- Gérer les clés et retirer les sélecteurs obsolètes
- Vérifier l’alignement DKIM avec le champ From
« En auditant la zone DNS, j’ai trouvé des includes obsolètes et des clés DKIM orphelines. »
Marc T.
Pour aller plus loin, plusieurs tutoriels pratiques expliquent la lecture des rapports DMARC et l’ajustement des règles. Selon Microsoft, l’analyse RUA est souvent la source d’informations la plus riche pour corriger les flux.
Voici une démonstration vidéo pour l’analyse des rapports et la correction des flux.
Après la théorie, mise en œuvre et audit pour garantir la protection courrier électronique et l’anti-spam opérationnel
Checklist pratique pour passer de p=none à p=reject
Commencer par inventorier toutes les sources d’e-mails est la première étape incontournable. Ensuite il faut configurer SPF, activer DKIM, puis publier un enregistrement DMARC en p=none pour la surveillance.
Étapes de mise en conformité :
- Inventaire des flux d’envoi et documentation complète
- Publication d’un SPF initial avec ~all pour tolérance
- Activation DKIM 2048-bit pour chaque service principal
- Déploiement DMARC en mode surveillance puis quarantaine
- Analyse RUA et ajustement avant passage à reject
« Leur intervention a stoppé les tentatives d’usurpation contre notre marque. »
Sophie L.
Cas Microsoft 365 et authentification composite pour une meilleure délivrabilité
Microsoft 365 combine résultats SPF, DKIM et signaux comportementaux dans une valeur nommée compauth. Selon Microsoft, l’authentification implicite améliore la prise de décision pour les messages ambigus.
Pour envoyer vers Microsoft 365, configurez SPF, DKIM et DMARC et considérez ARC pour les services qui modifient les messages en transit. Selon Microsoft, ARC aide à préserver l’authentification d’origine quand le message est transformé.
« DMARC est devenu un critère de confiance indispensable pour nos partenaires. »
Paul R.
Pour illustrer les étapes opérationnelles, voici une vidéo présentant la configuration pas à pas pour une plateforme cloud. Selon Zetruc, l’audit préalable permet de réduire les risques d’interruption des envois.
Source : Microsoft, « A Sea of Phish Part 2 – Enhanced Anti-spoofing in Microsoft 365 », Microsoft 365.
